Machine Unlearning

محو الآلة هو عملية إزالة تأثير بيانات التدريب المحددة من نموذج التعلّم الآلي المدرّب، بحيث يتصرف النموذج كما لو أنه لم يرَ تلك الأمثلة قط. والهدف هو مطابقة نموذج أُعيد تدريبه من الصفر من دون تلك البيانات، مع إنفاق حوسبي أقل بكثير من إعادة التدريب الكاملة. تنشأ طلبات النسيان من قوانين خصوصية البيانات، مثل حق المحو الوارد في المادة 17 من GDPR، ومن دعاوى حقوق النشر، ومن اكتشاف أن البيانات موسومة خطأ أو مسمومة، ومن الجهود الرامية إلى إزالة المعارف الخطرة من نماذج اللغة الكبيرة (LLMs).

لماذا لا يكفي حذف البيانات؟#

يوزّع الانحدار المتدرّج ما يتعلمه النموذج من كل مثال على أوزان النموذج، لذا فإن حذف الصور أو المستندات الأصلية من وحدة التخزين يُبقي أثر التعلم قائمًا. وقد تحتفظ النماذج أيضًا بآثار قابلة للاستعادة لأمثلة فردية: تختبر هجمات استدلال العضوية ما إذا كان سجل معيّن ضمن مجموعة التدريب، ويمكن لنماذج اللغة الكبيرة إعادة إنتاج مقاطع محفوظة حرفيًا. وتتعامل الجهات التنظيمية مع النموذج نفسه بوصفه ناتجًا للبيانات. وفي تسوية عام 2021، ألزمت لجنة التجارة الفيدرالية الأمريكية الشركة المطوّرة لتطبيق الصور Everalbum بحذف نماذج وخوارزميات التعرّف على الوجوه التي أنشأتها باستخدام صور المستخدمين من دون موافقة سليمة، وهو إجراء يُعرف الآن باسم التجريد الخوارزمي للمنافع.

المحو الدقيق والتقريبي#

ينتج المحو الدقيق نموذجًا مأخوذًا من التوزيع نفسه لنموذج أُعيد تدريبه من دون البيانات المنسية. وإعادة التدريب من الصفر هي خط الأساس، ويجعل إطار SISA من Bourtoule وآخرين العملية أقل كلفة عبر تقسيم مجموعة التدريب إلى أجزاء، وتدريب نموذج مستقل على كل جزء، وتقسيم كل جزء إلى مراحل تحفظ نقاط تحقق، وتجميع تنبؤات نماذج الأجزاء. وعند ورود طلب حذف، لا يُعاد تدريب سوى الجزء الذي احتوى على المثال:

import numpy as np
from sklearn.datasets import load_digits
from sklearn.linear_model import LogisticRegression
from sklearn.model_selection import train_test_split

X, y = load_digits(return_X_y=True)
X_train, X_test, y_train, y_test = train_test_split(X, y, test_size=0.3, random_state=0)

# SISA: split the training set into isolated shards and train one model per shard
shards = np.array_split(np.arange(len(X_train)), 5)
models = [LogisticRegression(max_iter=5000).fit(X_train[s], y_train[s]) for s in shards]

# Honor a deletion request for training sample 123 by retraining only the shard that held it
k = next(i for i, s in enumerate(shards) if 123 in s)
shards[k] = shards[k][shards[k] != 123]
models[k] = LogisticRegression(max_iter=5000).fit(X_train[shards[k]], y_train[shards[k]])

# Aggregate the shard models by majority vote
votes = np.stack([m.predict(X_test) for m in models])
pred = np.array([np.bincount(v).argmax() for v in votes.T])
print(f"Retrained {len(shards[k])} of {len(X_train)} samples, test accuracy {(pred == y_test).mean():.3f}")

يطبع البرنامج النصي Retrained 251 of 1257 samples, test accuracy 0.957: لم يسبق للرقم المنسي أن مرّ بنموذج الجزء المعاد تدريبه، ولم تكلّف عملية الحذف سوى خُمس كلفة إعادة التدريب الكاملة. لكن الكلفة تُدفع مقدمًا، لأن كل نموذج جزء يرى بيانات أقل: ففي تصنيف ImageNet، قاست الورقة تسريعًا لإعادة التدريب بمقدار 1.36x مع انخفاض طفيف في الدقة، مقابل 4.63x في مجموعة بيانات Purchase الأبسط.

يعدّل المحو التقريبي نموذجًا موجودًا بدلًا من ذلك، ويقبل بأن النتيجة لا تتجاوز تشابهها مع النموذج المعاد تدريبه. وتشمل الأساليب الشائعة تطبيق صعود التدرّج على مجموعة النسيان لرفع الخسارة، والضبط الدقيق باستخدام البيانات المحتفَظ بها لإصلاح الأضرار الجانبية، والتحديثات القائمة على التأثير التي تقدّر كيفية تغيير كل مثال للأوزان. وفي حالة LLMs، محا باحثو Microsoft معارف Harry Potter من Llama 2 7B خلال نحو ساعة واحدة من الضبط الدقيق على GPU، مع بقاء النتائج على المعايير الشائعة شبه ثابتة.

اختبار ما إذا كان النموذج قد نسي#

تقارن عملية التقييم المقنعة النموذج الذي خضع للمحو بنموذج أُعيد تدريبه من دون البيانات. وينبغي أن تنخفض الدقة على مجموعة النسيان إلى مستوى النموذج المعاد تدريبه، لا إلى الصفر، لأن إخفاق النموذج بوضوح في الأمثلة المحذوفة تحديدًا يكشف الأمثلة التي حُذفت. وينبغي الحفاظ على الدقة في البيانات المحتفَظ بها وبيانات الاختبار، كما ينبغي ألا يتجاوز أداء هجوم استدلال العضوية على الأمثلة المنسية مستوى التخمين العشوائي. وتطبّق معايير مثل TOFU، المبني على سير ذاتية خيالية لمؤلفين، وWMDP، الذي يقيس المعارف الخطرة في الأحياء والكيمياء والأمن السيبراني، هذه الاختبارات على LLMs.

غالبًا ما تخفي الأساليب التقريبية المعرفة بدلًا من إزالتها. ووجدت دراسة هجومية أن الضبط الدقيق باستخدام 10 أمثلة غير مرتبطة فقط أعاد معظم القدرات الخطرة التي كبتها RMU، وهو أحد الأساليب الرائدة لمحو المعرفة من LLMs. وحدها الأساليب الدقيقة تضمن الإزالة بحكم تصميمها.

محو الآلة والمصطلحات ذات الصلة#

• النسيان الكارثي: فقدان غير مقصود للمعارف السابقة عندما يتدرب النموذج على بيانات جديدة. أما المحو فيزيل معارف محددة عمدًا.
• التعلّم المستمر: إضافة معارف جديدة بمرور الوقت من دون فقدان المعارف القديمة. ويعمل المحو في الاتجاه المعاكس.
• تحرير النموذج: تغيير حقائق أو سلوكيات محددة، مثل تحديث شاغل منصب ما. يستهدف المحو تأثير أمثلة تدريب محددة، ويُقيّم نجاحه بمقارنته بنموذج أُعيد تدريبه.
• الخصوصية التفاضلية: ضمان يُطبّق أثناء التدريب ويحدّ من مقدار تأثير أي مثال مفرد في النموذج، ما يقيّد ما يمكن للمهاجم استنتاجه عن سجل قد يلزم نسيانه لاحقًا.

محو المعرفة في التطبيق العملي#

يبدأ كل حذف بتحديد النماذج التي دُرّبت على البيانات:

غالبًا ما تكون إعادة التدريب الكاملة ميسورة التكلفة لنماذج الرؤية الحاسوبية المضبوطة بدقة انطلاقًا من أوزان مدرّبة مسبقًا لم تتعرض مطلقًا للبيانات المحذوفة؛ فهي مهمة أصغر بكثير من التدريب المسبق لـLLM. وفي منصة Ultralytics، تعرض علامة تبويب النماذج لكل مجموعة بيانات جميع النماذج المدرّبة عليها، إلى جانب إصدار مجموعة البيانات الثابت للتشغيلات التي حفظت إصدارًا، بحيث يمكن تتبّع طلب الحذف إلى نماذج YOLO26 التي اطّلعت على صورة، ثم إعادة تدريبها على إصدار جديد يخلو منها. وتغطي خطوات التتبع وإعادة التدريب نفسها حالة مريض يسحب موافقته على استخدام الصور في تحليل الصور الطبية، وكذلك الوجوه ولوحات المركبات التي تلتقطها كاميرات المراقبة ويوافق مالك النموذج على حذفها.